Las vulnerabilidades del software de código abierto que aquejan a las empresas

La codificación de código abierto brinda muchos beneficios para las empresas que crean el software y las empresas que esperan que necesiten utilizarlo para operaciones comerciales fluidas. El software de código abierto es simplemente software codificado mediante codificación de código abierto. Esto significa que la codificación está abierta para que las personas la vean y la manipulen con relativa facilidad. Su ethos principal es que descentraliza y democratiza, hasta cierto punto, quién tiene acceso a ciertos códigos.

Es una codificación altamente versátil pero también volátil que es la opción dominante para los desarrolladores web, de aplicaciones y de software. Las vulnerabilidades de un código de fuente abierta tan versátil y fácil de manipular pueden causar tiempo de inactividad del software y problemas de seguridad que afectan a las empresas. Vamos a explorar.

¿Qué es el código fuente abierto?

El código abierto es originalmente un término que se refería al software de código abierto. La composición de ese software sería de codificación abierta. Esto significa que es de acceso público para que cualquiera pueda verlo, modificarlo y distribuir la codificación como desee. La alternativa es la codificación de código cerrado, que, al igual que el software de código abierto, se refiere al software de código cerrado. Detrás de ese software de código cerrado había una codificación cerrada, lo que significa que no es de libre acceso.

La diferencia más notable, sin incluir la capacidad de modificar la codificación, es cómo se desarrolla el software de código abierto y cerrado. El software de código cerrado normalmente llega a buen término gracias al trabajo de uno o un pequeño equipo de desarrolladores de software, cada uno de los cuales tendrá acceso maestro a la codificación del software. Determinan cómo y cuándo continúan desarrollando el software.

El software de código abierto ve una colaboración masiva para crear el software. La colaboración masiva es la razón por la cual el código abierto es abierto. Tiene que ser fácilmente accesible para un gran equipo de personas. Un grupo de desarrolladores podría trabajar en colaboración en varios países diferentes, lo que crea un problema en sí mismo. Varias personas trabajando en el mismo proyecto en la misma sala facilitan la colaboración. Pero los desarrolladores que trabajan en diferentes países pueden dificultar el desarrollo, las actualizaciones y los parches.

Recomendado para usted: Network Security 101: 15 mejores formas de proteger la red de su oficina de las amenazas en línea.

¿Qué problemas puede crear para las empresas?

El software de código cerrado tiene vulnerabilidades, pero no tantas como el software de código abierto. La principal debilidad del software de código abierto es que la codificación permite que casi cualquier persona lo manipule. Esta es una de las razones por las que hubo un aumento del 650 % en los ataques al software de código abierto en 2021. Las mejores prácticas de seguridad de aplicaciones, como realizar evaluaciones de amenazas y cifrar el código, pueden crear un software más seguro. Pero el riesgo inherente de que la codificación de código abierto sea tan accesible todavía existe.

Otro problema se centra en la usabilidad. El software de código abierto generalmente se adapta a las necesidades de los desarrolladores sin tener en cuenta las necesidades del usuario. Las empresas deben participar en el diseño y las pruebas de la aplicación para garantizar que satisfaga las necesidades del usuario. Otro problema relacionado con la usabilidad es la falta de soporte disponible si algo sale mal. Cuestiones como la compatibilidad pueden ser un gran problema con el software de código abierto. No hay necesariamente soporte de seguimiento de los desarrolladores porque varios desarrolladores de diferentes ubicaciones habrán completado el trabajo en el software.

Las empresas que confían en el software de código abierto y la codificación detrás de él también pueden enfrentar prácticas de desarrollo deficientes y descuidos relajados de las integraciones. El ejemplo perfecto es el hack de SolarWinds de 2021. Se cree que es el hack más dañino de la historia en una cadena de suministro.

Más de 250 empresas y organizaciones gubernamentales se vieron afectadas por la infiltración en el sistema Orion, que operaba con software de código abierto. Durante dos actualizaciones de software, los piratas informáticos lanzaron malware en toda la red, lo que provocó la caída de cientos de empresas. Toda la cadena de suministro casi dejó de funcionar. Las empresas y las organizaciones gubernamentales todavía sienten los efectos del hackeo. Muchos dicen que llevará años recuperarse.

Ejemplos de vulnerabilidades de software de código abierto

Hay muchos ejemplos de ciberataques a empresas que utilizan software de código abierto. Esto está relacionado con el hecho de que tantas empresas utilizan software de código abierto, convirtiéndose así en presa fácil. A continuación se presentan dos de los eventos más notables y lo que las empresas aprendieron de ellos.

Violación de datos de Equifax en 2017

La violación de datos de Equifax de 2017 sacó a la luz las verdaderas vulnerabilidades del software de código abierto. Los múltiples fallos de seguridad que condujeron al ciberataque llevaron a muchos desarrolladores web y empresas a reforzar su software para evitar dicho ataque. ¿Por qué tanto la empresa como el desarrollador? Porque ambos tuvieron la culpa. Los piratas informáticos explotaron vulnerabilidades ampliamente conocidas e ingresaron a través de un portal web de quejas de consumidores. Esas vulnerabilidades deberían haber sido parcheadas por Equifax, pero no lo fueron.

Una vez que atravesaron el portal web, los piratas informáticos podrían moverse por el sistema y lograr robar millones de datos personales de los clientes. Días antes de eso, se lanzó un parche para una vulnerabilidad conocida dentro del software. Pero Equifax optó por no implementar el parche con tiempo suficiente.

¿Qué aprendieron del ataque? Equifax descubrió que si un parche necesita implementación, necesita implementación cuando se lanza. En particular, son las grandes organizaciones las más vulnerables. Las pequeñas y medianas empresas no serán el objetivo tanto como las organizaciones con una base de clientes masiva. Es por eso que Equifax, una empresa que posee los datos financieros de millones de clientes, debería haber trabajado para implementar los cambios antes.

Servicios web de Amazon

Este no ha sucedido todavía. Pero los piratas informáticos están trabajando silenciosamente en segundo plano en un intento de convertirse en el último ataque de software de la cadena de suministro. Los desarrolladores de Python y PHP se están viendo comprometidos lentamente por algunos hacks exitosos informados. Pero los piratas informáticos aún no han alcanzado su objetivo. Los paquetes que están atacando son Python CTX y phppass de PHP. Ambos son paquetes de software antiguos que han servido a las empresas durante muchos años.

Actualmente, son los desarrolladores de software los que utilizan los paquetes afectados, pero el notable aumento de las infiltraciones ha dado lugar a advertencias dirigidas a las empresas que también utilizan los paquetes de software.

Te puede interesar: 12 tipos de seguridad de punto final que toda empresa debe conocer.

El aumento generalizado de los ciberataques a las empresas

No solo hay un problema con los ataques de software de código abierto. Hay un aumento notable y generalizado de los ataques cibernéticos a las empresas en todos los ámbitos. En el Reino Unido, por ejemplo, el gobierno publicó recientemente un informe que instó a las empresas y organizaciones benéficas a fortalecer sus prácticas de ciberseguridad en medio de un fuerte aumento de los ataques.

Muchos le creen esto a la pandemia, que hizo que muchas empresas invirtieran en software que les permitiera seguir operando virtualmente. Un estudio encontró que hubo un aumento del 300 % en los ataques durante y en los meses posteriores a la pandemia. Pero la pandemia no es la única culpable: 5G, por ejemplo, también está contribuyendo al aumento de los ataques. El mundo tenía prisa por un ancho de banda más rápido. Pero al aumentar el ancho de banda, los dispositivos IoT serán más vulnerables a los ataques.

La brecha de habilidades de seguridad cibernética dentro de las organizaciones también parece estar jugando un papel en el aumento de los ataques. Muchos empleados simplemente no entienden los riesgos y las consecuencias de las prácticas cibernéticas inseguras. Además, muchas empresas ni siquiera tendrán un equipo de ciberseguridad dedicado. Depende de la gerencia educar sobre temas como los correos electrónicos de phishing y fomentar prácticas cibernéticas seguras.

¿Cuál es la solución?

La solución no es dejar de usar software de código abierto. Considere las vulnerabilidades y los riesgos asociados y determine qué software de código abierto mitiga tantos de ellos como sea posible. Las empresas deberán optar por el software más adecuado a sus necesidades. Por ejemplo, el software de código abierto podría ser mejor para las marcas que buscan alternativas más económicas. El software de código abierto no suele tener el mismo precio que el software de código cerrado.

El software de código cerrado viene con más estabilidad y seguridad para que el software no sea atacado por piratas informáticos. Como se mencionó anteriormente, el software de código abierto tiene una falla de seguridad importante que provocó un aumento de los ataques cibernéticos en un 650 % en 2021. Incluso si las empresas quisieran, no son las que ejecutan los controles de seguridad y cifran la codificación. Sería la colaboración masiva de desarrolladores la que necesita hacerlo.

Las marcas también deberían tomarse el tiempo para colaborar con los desarrolladores. Deben identificar las debilidades en el software e implementar parches a medida que se publican. Al igual que con el hack de Equifax, los desarrolladores de software lanzaron el parche días antes del ataque. Debido a que habían aplicado el parche, el ataque no habría ocurrido. Del mismo modo, es esencial implementar actualizaciones periódicas, pero esto también implica colaborar con los desarrolladores para garantizar que las actualizaciones se publiquen de forma segura. Al igual que con el ejemplo de SolarWinds, las dos actualizaciones del sistema Orion expusieron debilidades que los piratas informáticos explotaron de inmediato.

El software de código cerrado no es una opción viable para muchas marcas. La mejor alternativa podría ser invertir en un equipo de seguridad cibernética dedicado o dedicar más tiempo a educar a los empleados. Numerosos ataques cibernéticos de alto perfil comenzaron con malas prácticas de contraseñas, por ejemplo, pero son un problema relativamente fácil de resolver. El ataque a Ticketmaster en 2021 es el ejemplo perfecto de lo que puede pasar cuando los empleados no tienen contraseñas seguras.

También te puede interesar: 17 consejos geniales para redactar una política de seguridad cibernética que no apeste.

Ultimas palabras

Técnicamente hablando, incluso el software de código cerrado tiene las mismas vulnerabilidades que el software de código abierto; simplemente no son tan prominentes. Las empresas pueden mitigar los riesgos por sí mismas seleccionando cuidadosamente el software, ya sea abierto o cerrado, que hayan creado desarrolladores acreditados.

Sin embargo, lo que es evidente es lo que se debe hacer para proteger a las empresas en todo el mundo, especialmente las cadenas de suministro que utilizan software de código abierto. El fuerte aumento de los ciberataques demuestra cuán vulnerables son las empresas y los consumidores a los ciberataques. Los ciberdelincuentes ahora tienen acceso a software sofisticado. Los desarrolladores y las marcas deben ser más expertos en seguridad cibernética para prevenir ataques.